怎样在Koa 2中使用Knex.js安全编写动态SQL逻辑-SQL-PHP中文网

knex 默认通过参数化查询防止sql注入，但仅限原生方法；使用knex.raw()或动态表名/排序字段时需白名单校验。

怎样在koa 2中使用knex.js安全编写动态sql逻辑

Knex 本身不提供 SQL 注入防护，安全与否完全取决于你如何构造查询——它只是把 JS 链式调用翻译成 SQL，不会自动转义或拦截危险输入。

为什么 knex('users').where('name', req.query.name) 是安全的

Knex 默认使用参数化查询（prepared statement），所有 where、insert、update 等方法传入的值都会被绑定为 bindings，不拼接进 SQL 字符串：

knex('users').where('name', 'O\'Reilly').toSQL()
// → { sql: 'select * from "users" where "name" = ?', bindings: ["O'Reilly"] }

单引号、分号、UNION SELECT 全部被当作文本值，不会执行
仅限 Knex 原生方法（.where()、.whereIn()、.join() 等）才启用该机制
一旦你用 knex.raw() 拼接用户输入，立刻失去保护

哪些操作会绕过参数化，必须手动过滤

以下写法等同于直接执行字符串，req.query.table 或 req.body.orderBy 若未校验，就会触发 SQL 注入：

knex.raw('SELECT * FROM ?? WHERE id = ?', [req.query.table, req.query.id]) —— ?? 只允许白名单表名/字段名，不能填任意字符串
knex('users').orderBy(req.query.orderBy) —— orderBy 接受字符串，但若传入 "id; DROP TABLE users" 会原样输出
knex.raw(`SELECT * FROM ${req.query.table}`) —— 绝对禁止，连基础替换都没做

正确做法是：用白名单严格限制动态部分

const allowedTables = ['users', 'posts', 'comments'];
const table = allowedTables.includes(req.query.table) ? req.query.table : 'users';
<p>const allowedOrders = { created_at: 'created_at', name: 'name' };
const order = allowedOrders[req.query.orderBy] || 'created_at';</p><p>knex(table).orderBy(order)</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill7930" title="OpenGemini Next.js Bestpractice Builder"><img
														src="https://img.php.cn/upload/skill/000/000/081/179177410198432.jpg" alt="OpenGemini Next.js Bestpractice Builder" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill7930" title="OpenGemini Next.js Bestpractice Builder" class="overflowclass">OpenGemini Next.js Bestpractice Builder</a>
													<p class="overflowclass">使用固定的 Next.js/Tailwind/Prisma 技术栈构建并记录独立 SaaS 项目，仅将 FastAPI 用于 Python 工作负载，并遵循严格的架构规范。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill7930" title="OpenGemini Next.js Bestpractice Builder" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div>

在 Koa 中封装安全的查询中间件

不要让每个 controller 自己判断字段合法性。把校验逻辑下沉到统一层：

用 ctx.state.safeParams 存放清洗后的值，而非直接读 ctx.query
对常见动态字段（如 select、order、limit）提取公共校验函数
避免在 router.get() 回调里写 knex.raw()，优先走 QueryBuilder 链式 API

示例中间件：

const validateQuery = async (ctx, next) => {
  const { fields = '*', order = 'id', dir = 'asc', limit = 20 } = ctx.query;
<p>// 白名单字段
const validFields = ['id', 'name', 'email', 'created_at'];
ctx.state.safeFields = fields === '<em>' 
? '</em>' 
: fields.split(',').filter(f => validFields.includes(f.trim()));</p><p>// 白名单排序字段 + 方向
ctx.state.safeOrder = validFields.includes(order) ? order : 'id';
ctx.state.safeDir = ['asc', 'desc'].includes(dir) ? dir : 'asc';</p><p>ctx.state.safeLimit = Math.min(Math.max(parseInt(limit, 10), 1), 100);</p><p>await next();
};</p>